Der Datenschutzbeauftragte ist gegangen, die Aufsicht kennt noch seinen Namen

Vor vier Jahren wurde der Datenschutzbeauftragte bestellt. Die Urkunde liegt im Ordner der Geschäftsführung, die Meldung an die Aufsichtsbehörde ging per Formular raus, und in der Datenschutzerklärung steht seine Adresse. Alles richtig gemacht.

Im Frühjahr ist er in den Ruhestand gegangen. Die Nachfolgerin ist intern bestimmt, eine Rundmail hat es allen gesagt. Die Aufsichtsbehörde hat weiter den alten Namen, die Website die alte Adresse, und die Anfrage einer betroffenen Person landet in einem Postfach, das niemand mehr liest.

Was die DSGVO verlangt

Die Pflicht endet nicht mit der Benennung. Art. 37 Abs. 7 DSGVO lautet:

„Der Verantwortliche oder der Auftragsverarbeiter veröffentlicht die Kontaktdaten des Datenschutzbeauftragten und teilt diese Daten der Aufsichtsbehörde mit.“

Der Satz gilt für die aktuelle Person, nicht für die erste. Wer wechselt, muss beides neu tun: veröffentlichen und mitteilen. Eine Bestellung hat damit drei Orte, an denen sie stimmen muss, und keiner davon aktualisiert sich selbst.

Was der IT-Grundschutz verlangt

Für die Informationssicherheit gilt dasselbe Muster. Die Basis-Anforderung ISMS.1.A4 im IT-Grundschutz-Kompendium beginnt mit dem Satz:

„Die Institutionsleitung MUSS einen oder eine ISB benennen.“

Im Anwenderkatalog von Grundschutz++, der das Kompendium ablösen wird, steht die Rolle unter GC.9.1.1.1, und die Erläuterung dort ist deutlich: „Daher ist diese Rolle in jeder Institution (unabhängig von Art und Größe) zu besetzen.“ Zu besetzen heißt: dauerhaft, nicht einmal. Eine Funktion, deren Inhaber gegangen ist, ist unbesetzt, auch wenn die Urkunde noch im Ordner liegt.

Wo es in der Praxis kippt

• Der Wechsel. Ruhestand, Kündigung, Elternzeit. Intern spricht sich das herum, nach außen bleibt der alte Stand stehen: bei der Aufsicht, auf der Website, im Verarbeitungsverzeichnis.
• Die Befristung. Ein externer Beauftragter ist für zwei Jahre bestellt. Der Vertrag läuft aus, niemand verlängert, und die Funktion ist seit Monaten leer, ohne dass es jemand merkt.
• Die Doppelrolle. Der ISB übernimmt zusätzlich den Datenschutz, später auch die IT-Leitung. Grundschutz++ verlangt in GC.9.1.1.3 Maßnahmen gegen Interessenkonflikte bei der Vergabe von Rollen. Wer sich selbst prüft, prüft nicht.

Wie isidaten das abbildet

Im Beauftragten- und Rollenregister steht jede Bestellung mit Beginn, Befristung, Vertretung und Widerruf, und für den Datenschutzbeauftragten zusätzlich mit dem Datum der Meldung an die Aufsicht und dem der Veröffentlichung. Läuft eine Bestellung aus, meldet isidaten das 90, 30 und 7 Tage vorher; eine Funktion, die das Haus als Pflicht festgelegt hat und die ohne laufende Bestellung ist, wird als unbesetzt gemeldet. Im Überblick steht, welche laufenden Bestellungen noch nicht an die Behörde gemeldet sind. Die laufende DSB-Bestellung wird in die Stammdaten übernommen, aus denen Datenschutzhinweise und Verarbeitungsverzeichnis lesen, und unvereinbare Doppelrollen werden bei der Bestellung geprüft.

Die Prüffrage

Welcher Name steht bei Ihrer Aufsichtsbehörde als Datenschutzbeauftragter, und ist das die Person, die heute im Amt ist?

Wenn Sie das nachschlagen müssen, ist die Meldung vermutlich älter als der letzte Wechsel.

Quellen

Verordnung (EU) 2016/679 (DSGVO), Artikel 37 Absatz 7.

BSI IT-Grundschutz-Kompendium, Edition 2023, Baustein ISMS.1 Sicherheitsmanagement, Anforderung A4.

BSI Anwenderkatalog Grundschutz++, Stand 24.09.2026, Anforderungen GC.9.1.1.1 (Informationssicherheitsbeauftragter) und GC.9.1.1.3 (Vermeidung von Interessenkonflikten). Grundschutz++ wird laufend fortgeschrieben, Nummern und Wortlaut können sich bis zur Veröffentlichung der Methodik noch ändern.